security-headers

예상 결과:

• 전체 등급: 브라우저 측 보호가 불완전하므로 높은 위험입니다.
• 주요 수정 사항: HTTPS 검증 후 HSTS를 추가한 다음, report-only 모드로 CSP를 배포하세요.
• 검증: 리디렉션을 확인하고, 브라우저 콘솔 위반 사항을 점검하며, 배포 후 헤더를 다시 스캔하세요.

예상 결과:

• 발견 사항: 자격 증명과 함께 와일드카드 CORS를 사용하면 인증된 데이터가 신뢰할 수 없는 출처에 노출될 수 있습니다.
• 권장 사항: 신뢰할 수 있는 출처만 허용하고 예상치 못한 Origin 값은 거부하세요.
• 배포 참고: 허용 목록을 적용하기 전에 파트너 통합을 테스트하세요.

예상 결과:

• report-only 모드로 시작하고 1주일 동안 위반 사항을 수집하세요.
• 적용 전에 안전하지 않은 인라인 스크립트를 nonces 또는 hashes로 교체하세요.
• 중요한 사용자 흐름이 브라우저 테스트를 통과한 후 적용 모드로 전환하세요.